Abonauta

Parece una pregunta baladí pero nos hemos acostumbrado tanto al llamado “todo gratis” de Internet que no nos paramos a pensarlo: ¿Por qué son gratis las redes sociales? ¿Por qué son gratis las búsquedas? ¿Son acaso ONGs quienes ofrecen estos servicios? Por supuesto que no, son empresas que, como Facebook o Google, se valoran en miles de millones precisamente por el ofrecimiento de este tipo de servicios.

Entonces, ¿dónde está el truco? Porque, ya lo decía mi abuela:  ”Nadie da duros a cuatro pesetas”.

Autor: Ruth Suehle para opensource.com bajo licencia CC

Pues bien, el truco está en que en realidad no son gratis en absoluto sino que pagamos con otra moneda distinta y que nos afecta directamente: nuestra privacidad.

De hecho, gracias a la más permisiva legislación de Estados Unidos y a la mayor mentira de Internet: “He leído atentamente y acepto las condiciones de uso”, todos los datos personales así como todos los contenidos que publicamos o introducimos en estos servicios, pertenecen legalmente a los proveedores. De ello hemos hablado ampliamente en otros artículos del blog: aquí y aquí. Ello hace, por ejemplo, que Facebook haya sido valorada en unos 80.000 millones de dólares. ¿Qué vale esta exorbitada cantidad en Facebook? ¿Su tecnología? ¿Sus instalaciones? No. Lo valen los datos y contenidos de más de mil millones de seres humanos que en este momento son usuarios de su red social.

Lo mismo cabe decir de Google: cada vez que hacemos una búsqueda, ésta se indexa y se vincula a nuestro perfil, al igual que todo lo que publicamos o enviamos a través de sus múltiples y variados servicios (Sí, también Gmail).

Y ello ¿para qué? Pues la finalidad principal, según informan los proveedores con este modelo de negocio, es la construcción de perfiles avanzados para su explotación publicitaria. Es decir, saber nuestros intereses, gustos y aficiones a fin de mostrarnos información comercial optimizada que, esta vez sí, venden económicamente  a sus verdaderos clientes: los anunciantes.

Es posible que nos pueda parecer un intercambio justo, especialmente en un contexto actual de crisis económica en la que cada euro debe ser medido “al gramo” (y, si no, que se lo cuenten a WhatsApp), pero lo cierto es que este modelo de negocio supone un riesgo enorme para nuestra privacidad e intimidad del cual, al menos, debemos de ser conscientes:

Esta semana el diario El Mundo ha publicado una noticia muy reveladora al respecto: “Los riesgos para la intimidad de los ‘Me gusta’ de Facebook” donde se hace eco de un informe publicado en Estados Unidos por investigadores de la Universidad de Cambridge sobre una base de 58.000 usuarios. Este estudio advierte de que, simplemente por el mero hecho de marcar el botón “me gusta” de Facebook, se puede deducir un completo perfil de personalidad del individuo y revelar información muy sensible de su intimidad: “Preferencias políticas, gustos personales, orientación sexual, creencias religiosas, rasgos de la personalidad, estabilidad emocional, etnia, edad, sexo o cociente intelectual” son algunos de los datos que, según los investigadores, pueden ser inferidos fácilmente de nuestro comportamiento en la red social.

Este “data mining” choca directamente con la legislación europea, mucho más protectora de la privacidad de los ciudadanos que la americana y en actual proceso de revisión para, entre otras cosas, poder aplicarse más claramente a los prestadores de servicios extranjeros que traten datos de europeos. No nos deben sorprender medidas como la adoptada por un estado de Alemania que en 2011 declaró ilegal la integración del botón “me gusta” de Facebook por parte de los administradores web de su región.

En España, dicha información es catalogada como datos sensibles por la Ley Orgánica 15/1999, de Protección de Datos de Carácter personal (LOPD) y requiere un consentimiento expreso y/o por escrito para su recogida y tratamiento, siempre que el mismo fuera “adecuado, pertinente y no excesivo” para la finalidad declarada, lo cual muy difícil por no decir imposible para uso publicitario.

En definitiva, debemos de hacernos la siguiente pregunta: ¿Por cuánto venderíamos nuestra intimidad?

El vídeo de hoy se centra en la llamada reputación online o “ciberreputación”. Para completarlo, os referencio también tres artículos publicados en su día sobre el tema:

¿Cómo borro mis datos de Internet?

¡Horror, mi nombre sale en Google!

¿Puedo borrar mis datos de Google?

¿Qué es la reputación online? ¿Cómo controlamos lo que se dice de nosotros en la Red? ¿Cuáles son nuestros derechos y su protección? ¿Qué implica el derecho al honor? ¿Cómo podemos protegerlo en Internet? ¿Se pueden beneficiar también las personas jurídicas? ¿Qué hay de Google y otros intermediarios? ¿Los podemos hacer responsables si no retiran contenidos ilícitos o nocivos sobre nosotros? Todas estas cuestiones y otras en el siguiente vídeo:

Muchos ríos de tinta (y de bits) se han vertido sobre la privacidad en Internet. Ayer mismo se publicaba que Facebook ha acordado con las autoridades de Estados Unidos cambios en sus prácticas de privacidad, así como el sometimiento a un control más estricto de la misma. Pero, ¿cómo se entienden este tipo de noticias? ¿Cuál es el verdadero régimen de la privacidad en Internet? ¿Qué diferencias hay entre los EE.UU. y la Unión Europea en materia de protección de datos?

Éstas y otras cuestiones son las que intentaré abordar en el videoblog de hoy:

Gracias por la excelente acogida, ánimos y comentarios sobre este “videoblog-experimento” que inauguramos ya la semana pasada. Sin vosotros, nada de esto tendría sentido.

Ya lo sé. Nos hemos acostumbrado. Pero eso no significa que sea lo correcto o que no haya alternativas…

Me refiero al funcionamiento actual del comercio electrónico y, en concreto, a su modelo de negocio y a los medios de pago. Parece mentira, pero cuando consumo productos o servicios en Internet sólo tengo dos alternativas:

1. O no pago nada por ellos, con lo que se fomenta el mal llamado “todo gratis” de Internet y que, en realidad, pague con otra moneda como mi privacidad.
2. O utilizo un medio de pago que siempre me exige facilitar mis datos personales en la transacción, lo que nos plantea la eterna pregunta de ¿Dar o no dar mi tarjeta en la Red?

Y yo me pregunto, ¿es que no hay alternativas? ¿es que no tengo modo de comprar o consumir en la Red sin tener que identificarme permanentemente?

El mercado online parece insistir tercamente en que no. De hecho, los sistemas que (nos cuentan) más seguridad y privacidad aportan a nuestras transacciones online requieren que, al menos, debamos facilitar nuestra dirección de correo electrónico (PayPal) o nuestros datos de teléfono móvil (pagos por SMS o Google Wallet).

Sin embargo, en el comercio tradicional del mundo offline estamos acostumbrados a pagar de forma anónima. De hecho, lo hacemos todos los días: símplemente usamos billetes y monedas.

¿Por qué no puedo pagar anónimamente en Internet?

Se nos han puesto muchas excusas para ello. Las principales han tenido que ver con la “necesidad” de garantizar seguridad en las transacciones online o la ausencia de normativa legal adaptada.

Tal y como ya adelantábamos en su día en el post “De la sal al dinero electrónico” , esta última excusa desaparecería en cuanto se transpusiera en nuestro país la Directiva 2009/110/CE, de 16 de septiembre de 2009, sobre el acceso a la actividad de las entidades de dinero electrónico y su ejercicio.

Pues bien, el día ha llegado y ya está vigente en España la Ley 21/2011, de 26 de julio, de dinero electrónico. Esta ley viene a sentar las bases del pleno reconocimiento jurídico del propio dinero electrónico y del régimen aplicable a las entidades emisoras del mismo, las cuales no necesitan ser ni siquiera entidades de crédito, flexibilizándose sus otrora duros requisitos.

Así, el artículo 1.2 de la citada Ley 21/2011, define al propio dinero electrónico del siguiente modo:

“Se entiende por dinero electrónico todo valor monetario almacenado por medios electrónicos o magnéticos que represente un crédito sobre el emisor, que se emita al recibo de fondos con el propósito de efectuar operaciones de pago según se definen en el artículo 2.5 de la Ley 16/2009, de 13 de noviembre, de servicios de pago, y que sea aceptado por una persona física o jurídica distinta del emisor de dinero electrónico.”

Por tanto, nada obsta ya para que cualquier entidad, cumpliendo símplemente los requisitos contenidos en la Ley, pueda emitir directamente “monedas” y “billetes” electrónicos con pleno valor jurídico a nivel europeo.

¿Estaremos a las puertas de una nueva era de medios de pago anónimos en la Red? El tiempo lo dirá pero, sin duda, ello impulsaría el ansiado y definitivo despegue de nuestro comercio electrónico a nivel global.

¿Quiénes serán los valientes?

Hace unos días, Enrique Dans (@edans) publicaba un interesante artículo en su blog titulado “¿De quién es una cuenta en Twitter?”. Cuándo me hacía eco del mismo, un buen amigo y seguidor de Twitter (gracias @regueiro) me pidió mi opinión al respecto. Como buen gallego (y además abogado) no pude por más que responder con un “depende”. Obviamente, 140 caracteres no dan para mucho más por lo que me comprometí a desarrollar el tema en el blog y ¡aquí estamos!

Foto: Ben Schumin - Licencia Creative Commons

Dado que lo que voy a comentar a continuación es también aplicable a otras redes sociales, y a fin de que el bueno de Enrique no me acuse de plagio en el título, he decidido ampliarlo a: “¿De quién es mi perfil en la redes sociales?”

Como ya os he adelantado mi respuesta corta:”depende”, permitidme empezar por ella: ¿De qué depende? Pues, en realidad, de lo que entendamos por el “de quién” o, en definitiva, del concepto que manejemos de “propiedad” o “pertenencia”.

En su día ya tuve oportunidad de reflexionar sobre ello y, por tanto, me remito al artículo que escribí al respecto: “La propiedad ha muerto, ¡vivan los derechos de uso!” (uno de mis preferidos, por cierto) y continúo mi reflexión aplicándolo al presente caso:

Dado que el concepto de propiedad actual es relativo, ya solo cabe hablar de “derechos de uso” y de sus respectivos titulares. Un perfil de una red social se compone de varios elementos con distintos derechos aplicables que vamos a intentar sintetizar aquí a ver si nos aclaramos y encontramos a sus verdaderos titulares o “propietarios”. Dichos elementos serían cuatro: el sistema informático que da soporte a la red social, los contenidos que publicamos, nuestros datos personales y el nombre o denominación del perfil.

Por tanto y como dijo Jack el Destripador, vayamos por partes:

1- Propiedad Material del sistema informático:

Si vamos a la propiedad material, es decir a la de los elementos físicos y de software que integran el sistema que le sirve de soporte. Diríamos que nuestro perfil es propiedad de la empresa titular de la red social donde se ubica. Así, mi cuenta de Twitter pertenecería a Twitter, Inc., la de Facebook a Facebook, Inc., la de Google+ a Google Inc., etc.

Esto es porque nuestro perfil no es otra cosa que una parte de un sistema informático cuya titularidad pertenece a estas empresas como proveedores del servicio.

De este modo, todo el esfuerzo que una persona o entidad ha dedicado a desarrollar su presencia en dicha red y acumular cientos, miles o millones de amigos, fans o seguidores puede no significar nada si, de la noche a la mañana, ya sea por normativa interna o por una decisión empresarial, el proveedor del servicio decide eliminar o transferir dicho perfil a otro.

“¿Y esto es legal?” Me preguntaréis: Pues sí, siempre que no se afecten el resto de “propiedades” o derechos que vamos a describir a continuación:

2- Propiedad Intelectual de los contenidos publicados.

Está claro quién es el propietario del sistema, pero ¿quién lo es de los contenidos publicados en nuestro perfil?: Comentarios, fotos, enlaces, videos, etc.

En este caso, debemos atenernos exclusivamente a la normativa en materia de propiedad intelectual. Dicha normativa nos dice que el titular de una obra es, en primer lugar, su autor “por el mero hecho de su creación”. Por tanto, aquellos textos o imágenes creados o captadas por nosotros nos pertenecen, mientras que aquellos otros contenidos ajenos que referenciemos o reproduzcamos en nuestro perfil pertenecen a sus respectivos autores o titulares que los hayan adquirido mediante licencia.

Si bien, conviene tener en cuenta que algunas redes sociales, como es el caso de Facebook que comentamos en su día, recogen en sus condiciones generales de uso que adquieren la titularidad intelectual de todos los contenidos que publiquemos en nuestro perfil, ya sean propios o ajenos.

3- Propiedad de los datos personales introducidos.

Otro elemento esencial de nuestro perfil son los datos personales. ¿A quién pertenecen los datos?

Aquí hay que diferenciar claramente dos modelos normativos: el americano y el europeo, tal y como también comentamos en su día.

A consecuencia de ello, podemos decir que en los Estados Unidos los datos personales pertenecen a las entidades que los tratan y se convierten en una mercancía más: es decir, son propiedad de la empresa lo mismo que sus locales o sus ordenadores. Sin embargo, en Europa dichos datos nunca dejan de ser propiedad de las personas a las que se refieren.

Esto, sin duda, plantea un conflicto: para Facebook, Twitter o Google, todas con sede en California, mis datos son suyos pero para mí, que resido en España, mis datos son míos, por el mero hecho de referirse a mi.

Lo mismo cabe decir de los datos de nuestros amigos, seguidores o contactos, así como los que publiquemos de otras personas (nombres, fotos, etc.): con arreglo a nuestro derecho, no nos pertenecen sino que les pertenecen a ellas. Es importante tenerlo en cuenta cuando publicamos dichos datos en nuestro perfil, tal y como advertimos también en su día.

4- Propiedad del nombre o denominación utilizada en el perfil:

Finalmente, nos referimos al último elemento de nuestro perfil: su nombre o denominación.

Aquí pueden surgir muchos problemas, como también tuve ocasión de comentar en otro artículo del blog.

Baste decir aquí que sólo deberíamos utilizar una denominación que se identifique bien con nuestro nombre propio o el de nuestra entidad o bien con una marca o nombre comercial del que seamos titulares. En otro caso, corremos el riesgo de que dicho perfil sea reclamado por el titular de dicha denominación y, en función de la legislación aplicable y/o de la normativa interna del proveedor del servicio, nuestro perfil puede ser dado de baja o transferido a dicho titular.

El titular de una marca o nombre comercial es el único que puede reclamar su derecho exclusivo a usar dicha denominación en un perfil y, por tanto, es su propietario a estos efectos. Cuidado con utilizar denominaciones de este tipo sin autorización.

Como hemos visto y resumiendo, no hay un único “propietario” de nuestro perfil sino que pueden ser muchos y nosotros, en muchas ocasiones, estamos al final de la cola.

Durante los próximos días 2 y 3 de junio tendrá lugar en EXPOCoruña uno de los grandes eventos de referencia en materia de comunicación y marketing empresarial: El II Encuentro profesional online & digital business B.Web 2011.

Durante el segundo de estos dos intensos y apasionantes días de actividades, tengo el honor de impartir una conferencia bajo el título “Más allá de la LOPD: Privacidad en las redes sociales y normativa en el entorno online“. A continuación reproduzco unas breves líneas usadas a modo de presentación:

“Hoy en día estamos inmersos en el fenómeno de la Web 2.0. Fenómenos como el de los Blogs, los foros de opinión y las webs de imágenes y vídeos publicados por los usuarios o las propias redes sociales son muy recientes y han supuesto una nueva revolución tanto dentro de la propia Red como, muy especialmente, fuera de ella.

Nos hemos acostumbrado, además, a que todos estos servicios de la Red que usamos más habitualmente sean completamente gratuitos: las bús- quedas que realizamos, nuestro correo electrónico, el perfil de nuestra red social, etc. Esto no es cierto, como veremos, en realidad estamos pagando con otra moneda que no conoce divisa: nuestros propios datos personales. Este nuevo modelo de negocio hace que, hoy más que nunca, se deba vigilar la protección de los derechos de intimidad y privacidad en la Red.

Pero, ¿Qué entendemos por intimidad? ¿Y por privacidad? ¿Qué normativa se aplica a la Red? ¿Cómo se deben proteger los datos personales en las Redes Sociales? ¿Qué obligaciones debo cumplir si tengo una Web o una página en Facebook? ¿Cómo protejo mi marca en la Red? ¿Puedo publicar una fotografía de un evento con otras personas? ¿Qué requisitos debo cumplir para hacer campaña de publicidad a través de una red social? ¿Puedo usar los datos de mis amigos? ¿Y de mis seguidores? ¿Y de mis fans?”

Para más información sobre el evento e inscripciones, podéis consultar el Programa completo aquí y su página web oficial aquí.

¡Espero veros por allí!

ACTUALIZACIÓN:

El viernes 3 de junio a las 18:00 tendré el honor de participar también en una original experiencia de “speed assesoring” para emprendedores, de la mano de Iniciador Galicia y dentro del mismo evento B.Web 2011.

Todos tenemos un pasado. Algún día, fuimos jóvenes (los más afortunados, aún lo sois) y cometimos alguna que otra “locura” que no quedaría bien en un curriculum vitae al uso.

Normalmente, dichas locuras quedan simplemente en el recuerdo o en alguna que otra vieja fotografía que ha sobrevivido a sucesivas “purgas” en algún álbum perdido en el trastero.

Foto bajo CC por Libertinus Yomango

Lo sé, hoy en día (me diréis) esa foto puede estar en Facebook o su vídeo en Youtube para escarnio y vergüenza de su protagonista. Esto es cierto, pero de ello ya hemos hablado y hablaremos otro día.

Lo que ahora me preocupa es qué pasa con aquellos casos en los que la información en cuestión se publica en un medio que, por su misma esencia, no puede alterar su contenido: Me refiero a un boletín oficial o a un medio de comunicación cuyas reseñas no se pueden eliminar una vez publicadas (salvo en lo referente a la vía de “corrección de errores”).

Esto es un caso muy habitual: imaginemos que nos ponen una multa por exceso de velocidad o por orinar en la calle. ¿Qué ocurre con todas esas multas que no hemos ido a recoger a correos? Pues que acaban publicándose en el Boletín Oficial correspondiente (Generalmente el BOP) y, aunque la paguemos o la recurramos e, incluso, la ganemos, lo cierto es que ya nunca se podrá eliminar de allí.

Obviamente, esto no suponía un problema hace 10 años: ¿Quién se iba a leer un Boletín Oficial perdido en una estantería? En este sentido, nuestra “dignidad y privacidad” estaban a salvo.

Sin embargo, hoy en día todos los Boletines Oficiales ya tienen su versión electrónica y, gracias a la “magia” de los buscadores modernos, ese antiguo “dato perdido” en una estantería aparece destacado cuando alguien simplemente busca nuestro nombre completo en Google.

Por tanto, el problema no es tanto que el BOP haya publicado algo sobre nosotros sino que Google lo haya indexado y destacado de modo tan penosamente eficiente. Atacando, en definitiva, tanto a nuestra privacidad como a nuestro honor.

Desgraciadamente, no sólo se publican multas en los Boletines: hay casos más graves aún, como la declaración de determinadas incapacidades o, incluso, la concesión de un indulto de una condena previa por un delito cometido hace años y que no puede constar ya como antecedente penal en el registro oficial.

Lo cierto es que, desde que se dieran los primeros casos, ya se han planteado un centenar de este tipo ante la Agencia Española de Protección de Datos (AEPD) reclamando que dichos datos sean eliminados, no ya de sus fuentes originales, sino del propio buscador Google. Dichos casos, han sido resueltos por la AEPD en el sentido de solicitar a Google la retirada de dichas referencias.

Sin ir más lejos, ayer se han visto en la Audiencia Nacional los primeros 5 casos ante la repetida negativa de Google a eliminar dichos enlaces de su sistema.

Lo que está en juego es el reconocimiento efectivo del, tan traído y llevado, derecho al olvido de nuestros datos en Internet.

Los argumentos de Google son, en resumen, los siguientes:

1. Que los contenidos no son suyos y, por tanto, no les compete a ellos su eliminación sino al responsable de su introducción en la Red; y
2. Que es técnicamente inviable impedir que dicho enlace vuelva a aparecer debido a que sus sistema se alimenta de “robots” automáticos que constantemente rastrean la Red e, indefectiblemente, volverán a enlazar ese contenido de nuevo.

Por el contrario, la AEPD argumenta que, si bien Google no es el responsable de dichos contenidos, actúa no sólo como un mero intermediario sino como un “facilitador” decisivo en el acceso a los mismos y, por tanto, debe responder.

A mayor abundamiento y en este sentido, la Ley 34/2002, de 11 de julio, de Servicios de Sociedad de la Información y de Comercio Electrónico (LSSI) dispone que, si bien el prestador intermediario no tiene responsabilidad, a priori, por los contenidos ajenos, sí se convierte en responsable si, teniendo conocimiento efectivo de que lesionan derechos de terceros, no actúa para suprimir o neutralizar el enlace correspondiente. Así lo dispone textualmente su artículo 17.1:

“Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que:

a- No tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o

b- Si lo tienen, actúen con diligencia para suprimir o inutilizar el enlace correspondiente.

Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo a cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse.”

En este caso, se entendería que Google asumiría una responsabilidad por no eliminar dichos enlaces después de haber tenido conocimiento efectivo de su lesión del derecho a la protección de datos y del honor de las personas mediante su notificación por parte de la AEPD.

Habrá que estar atentos a las sentencias firmes que se produzcan en el futuro inmediato sobre este asunto.

Como hemos apuntado, el derecho al olvido en Internet está ahora en juego en nuestros tribunales.

Esta semana saltaba la noticia: El director de la Agencia Española de Protección de Datos se reúne con sus homólogos de las Agencias autonómicas. Desgraciadamente, la gallega no está entre ellas.

En estos momentos, somos la única de las llamadas “Comunidades Históricas” que no tenemos este fundamental organismo. Tanto Cataluña como el País Vasco la tienen, además de Madrid que tiene tanto la central como la autonómica.

Pero, me diréis, ¿para qué sirve una Agencia de Protección de Datos?

Pues bien, una APD es un ente público autónomo que tiene como misión fundamental velar por la aplicación de la Ley Orgánica 15/1999 de Protección de Datos (LOPD) en su ámbito de competencias. Aunque su Director es nombrado por el Gobierno (a propuesta de un Consejo Asesor), su independencia está reconocida y reforzada por su inamovilidad en el cargo durante su mandato (el cuál usualmente suele coincidir entre gobiernos de distinto signo).

Por otro lado, y por imperativo legal, la APD no depende jerárquicamente de ningún Ministerio ni Consejería, teniendo total autonomía organizativa y funcional.

Entre sus variadas competencias, destacan las propias de inspección y sanción. Aquí las autonómicas se diferencian principalmente de la central en que las primeras sólo asumen dichas funciones respecto a las propias administraciones públicas locales y autonómicas de su Comunidad, mientras que la AEPD las ejerce tanto sobre el resto de administraciones como sobre todo el sector privado nacional.

¿Por qué entiendo que es fundamental tener una APD en Galicia?

Podría destacar varios motivos, como la aplicación del principio de subsidiariedad europeo, el no depender de Madrid a efectos de inspección y sanción de nuestras administraciones públicas locales y autonómica, o la necesidad de proteger un derecho fundamental desde nuestra propia tierra en un ámbito en plena expansión como es el de la administración electrónica o las redes sociales, pero voy a centrarme sólo en uno: en su fundamental papel para la formación, sensibilización y asistencia de nuestro sector público (y privado) en la responsabilidad de la protección y buen uso de los datos de todos los ciudadanos residentes en Galicia.

En la experiencia de otras Comunidades Autónomas, esto ha supuesto una aportación fundamental de sus Agencias que, desgraciadamente, no puede ser abordada en toda su amplitud por una AEPD central, cada vez más saturada y centrada principalmente en labores de instrucción y sanción.

Un ejemplo de ello ha sido, sin duda, la importantísima labor desarrollada en este sentido de la Agencia de Protección de Datos de la Comunidad de Madrid. La misma, lejos de convertirse en referente coercitivo, se ha centrado especialmente en tareas de difusión y concienciación tanto de sus administraciones “tuteadas” como del público general. Así lo avalan sus más de 30 libros especializados publicados y más de 50 seminarios y jornadas de formación impartidas a todos los niveles y campañas de sensibilización dirigidas al público sólo en lo últimos tres años.

Éste es el modelo que están imitando también el resto de Agencias autonómicas. Sus resultados, hablan por si mismos: unas administraciones públicas mucho mejor adaptadas a la LOPD y sensibilizadas respecto a la privacidad de sus ciudadanos. Esta labor social, sin duda, ha sido fundamental, diferenciadora y muy valorada por el resto de agentes públicos y privados de sus respectivos ámbitos de actuación.

¿Para cuándo una “Axencia Galega de Protección de Datos”? Esperemos que no pase mucho tiempo antes de que un Director de la AGPD represente a Galicia en una futura reunión de Agencias a nivel nacional.

La revolución de las Redes Sociales en Internet es algo que, a estas alturas, no pasa desapercibido a nadie.

En pasados artículos, tuvimos ocasión de comentar este fenómeno así como de sus implicaciones para nuestra privacidad, con atención especial a nuestros menores y a las obligaciones que asumimos en función de nuestro número de amigos en dichas redes.

Este pasado domingo, se emitió un interesante programa sobre este fenómeno en la Televisión de Galicia (TVG). Se trata del número cuatro ya de la magnífica serie de Conexións, producida por Adivina Producciones. En el mismo, tuve el honor de ser entrevistado en el reportaje referente a la seguridad y privacidad en la Red.

Éste es el adelanto del mismo:

El programa completo se puede visionar pulsando sobre este enlace de la TVG. (El reportaje con la entrevista se sitúa hacia el minuto 10′ del vídeo).

Espero que os resulte interesante.

Definitivamente, algo está cambiando. Hace apenas dos semanas comentábamos la gran diferencia entre la normativa europea y la norteamericana a la hora de proteger (y definir) la privacidad de los ciudadanos. Básicamente, en Europa hay una fuerte tradición al respecto, con protección constitucional y legislativa de por medio en materia de protección de datos personales, y en Estados Unidos ha sido clamorosa la ausencia de una protección mínimamente equiparable… ¡Hasta hoy!

Acaba de publicarse un Proyecto de Ley Federal en Estados Unidos que bien podría tratarse del primer paso real hacia una LOPD norteamericana: se trata del “Staff Discussion Draft for a Bill to require notice to and consent of an individual prior to the Collection and disclosure of certain personal information relating to that individual” (Borrador de Proyecto de Ley Federal para requerir la notificación y consentimiento de una persona antes de la recolección y divulgación de cierta información personal sobre la misma).

Esta importante iniciativa legislativa, coincide en el tiempo con la aprobación final en México de la esperada Ley Federal de Protección de Datos Personales en posesión de los particulares.

Sin duda, estos son los últimos frutos del camino iniciado el pasado noviembre durante la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad celebrada en Madrid y auspiciada por la AEPD, donde se adoptó un texto común de Estándares Internacionales sobre Protección de Datos y Privacidad (También denominado “la Resolución de Madrid”). Dicho documento pretendía servir de base para futuras normativas en la materia adoptadas por países sin tradición al respecto y, sin duda, está consiguiendo dicho objetivo.

Y es que el pasado 20 de abril, ni más ni menos que 10 Autoridades nacionales de protección de datos lanzaron un comunicado conjunto para exigir a Google y otras multinacionales de Internet el respeto por las normas de privacidad en el lanzamiento de nuevos servicios. Dicho comunicado, que se materializó en una carta abierta, fue presentado por Canadá, España, Israel, Francia y Holanda mediante rueda de prensa en Washington DC. Es decir, en la capital de un país que no cuenta con dichas normas en su legislación federal… Hasta ahora, como hemos visto.

Pero ¿Cuál es el contenido de este Proyecto de Ley Federal norteamericana? ¿Es una verdadera LOPD?

Pues no exactamente, pero vamos a hablar brevemente del contenido de este borrador en comparación con nuestra Ley Orgánica de Protección de Datos (salvando las distancias, claro). Lo resumimos en los siguientes puntos destacados:

1. Su ámbito es más limitado que el de la LOPD: se aplica sólo sobre entidades que no sean gubernamentales y que recaben datos de más de 5.000 personas al año.

2. A diferencia de la LOPD que protege cualquier información personal, el Proyecto de Ley Federal especifica los datos protegidos (“covered information”) que son: nombre, dirección, teléfono, email, identificación biométrica (huellas, retina…), números de identificación documental, datos financieros, nick o número IP en Internet, perfil de preferencias o cualquier otra información recabada en conexión con estos datos.

3. El Proyecto de Ley Federal comparte la definición esencial de “datos sensibles” de la LOPD (datos de salud, raza, religión, orientación sexual) pero añade dos nuevos tipos de datos aquí: datos financieros (saldos y movimientos de cuentas) y, como nota curiosa, datos de “geolocalización” exacta de personas.

4. En cuanto a la información obligatoria a facilitar al ciudadano a la hora de recabar sus datos, en el Proyecto de Ley Federal es sustancialmente más amplia que la exigida en la LOPD. En concreto, el Proyecto incluye: la identidad de la entidad destinataria, la descripción de la información recabada, cómo se recaba la misma, su finalidad, cómo se almacena, cómo se combina o enlaza con otra información recabada de terceros, cuanto tiempo la conserva de modo identificable, cómo se hace anónima, la finalidad para la que se puede ceder a terceros, los medios para que los interesados accedan, pregunten, limiten o prohíban su tratamiento; medio de notificación de cambios en la política de privacidad; la fecha de dicha política y un enlace a la web de la Autoridad Federal competente (la FTC). Esta información, sin embargo, sólo será exigible para los datos recabados por Internet, no si se obtienen por otros medios.

5. En cuanto al consentimiento, el Proyecto de Ley Federal obliga a obtenerlo de forma expresa o tácita, pero siempre previa notificación de la información descrita (o de sus modificaciones ulteriores) al interesado, con el procedimiento para manifestar su autorización u oposición, actual o posterior. Dicho consentimiento se exigirá siempre en el caso de finalidad de marketing, publicidad, venta o cesión de datos a otras entidades distintas. Asimismo, en el caso de datos sensibles será siempre expreso.

6. La Autoridad Federal competente para controlar su cumplimiento y sancionar, en su caso, (es decir el equivalente a nuestra AEPD) será la Federal Trade Commission (FTC) o Comisión Federal de Comercio.

7. Finalmente, destacamos que se excluye el ejercicio de Acciones Civiles directas de los particulares contra las entidades incumplidoras. Un punto polémico pero hasta cierto punto comprensible habida cuenta de las cuantiosas indemnizaciones que obtienen los particulares en acciones civiles en Estados Unidos (nada que ver con las nuestras) uniendo su condición “punitiva” y no sólo reparadora del daño.

¿Nos encontramos pues ante el germen de una futura LOPD para Estados Unidos? El tiempo lo dirá pero sin duda supondrá un importante precedente si se aprueba finalmente este Proyecto de Ley Federal, aunque sea en un ámbito tan restringido, ubicado dentro de la normativa de protección de consumidores y usuarios norteamericana.